Al momento abbiamo 2 siti http://www.foo.co.uk e https://secure.foo.com .
Il sito www non ha un certificato SSL e si trova su un dominio diverso.
Abbiamo un pulsante di accesso su http://www.foo.co.uk che quando si fa clic apre un iframe di https://secure.foo.com con un modulo, quando l'utente effettua il login crea un cookie di sessione su quel dominio ( foo.com ).
Il cookie di sessione deve quindi essere copiato in foo.co.uk , quindi ciò che fa è il reindirizzamento a http://www.foo.co.uk/setcookie.php?session=abcd1234 che ci consente di impostare lo stesso cookie sul dominio di origine.
Questa non è una soluzione molto sicura, quindi ho cercato di renderlo migliore - l'idea migliore che ho trovato è di inviare un hash usando qualcosa come HMAC insieme ai parametri dello script setcookie.php e quindi verificalo sull'altra estremità prima di creare il cookie.
Mentre è meglio non previene gli attacchi dell'uomo nel mezzo. Tenendo presente che www non è protetto da SSL, non penso che sia possibile impedirlo completamente, quindi la prossima cosa migliore sarebbe includere un timestamp nell'hash per renderlo valido per 5 minuti.
Qualcuno ha qualche idea su come posso renderlo migliore, o evidenziare eventuali insidie con questo approccio? Sarei molto grato.